Un attacco brute-force offline consiste nell'indovinare password a partire da hash di password rubati o file di credenziali crittografati, senza interagire con il servizio di accesso live. Poiché l'attaccante lavora su dati copiati, può provare milioni di tentativi al secondo ed evitare blocchi degli account, limiti di velocità e controlli di rilevamento che normalmente proteggono l'autenticazione online.
Questo è importante nella sicurezza informatica perché la velocità di cracking dipende da come sono state archiviate le password. Algoritmi di hashing robusti, elevati fattori di lavoro, salt unici e la crittografia dei backup rendono l'indovinamento offline più costoso. Un'archiviazione debole delle password trasforma una fuga di dati in una via rapida alla compromissione degli account, soprattutto per account amministrativi o di servizio. I difensori riducono questo rischio usando hashing lento delle password, proteggendo backup ed esportazioni, limitando chi può leggere gli hash memorizzati e ruotando le credenziali dopo un'esposizione.